Mohnad Alshobaily
@Mohnad
Followers
5K
Following
4K
Media
612
Statuses
5K
Error 404 The bug you’re looking for cannot be found, please try again later .
Joined January 2009
نحملهم طوال الوقت في قلوبنا ❤️ كأن صدورنا هي قبورهم لا التُربة.، اللهم اغفر لمن غادروا دنيانا ولم يغادروا قلوبنا اللهم ارحم من اشتقنا لهم. 😔🥀 . #سليمان_الشبيلي.#فيصل_الشبيلي
2
6
18
🔴 الحمدلله سعدت بتحقيق المركز الثاني 🏅للربع الثاني في أكثر كوارتر ممتع وحماسي في منصة مكافاة الثغرات . ثلاث شهور من المتعة والفحص والتحديات المستمرة ثمرتها ب إغلاق الثغرات الأمنية وجعل فضاء المملكة السيبراني امن ومحمي 🇸🇦.شكرا @BugBountySA .
19
1
80
الحمد لله، سعدت بحصولي على شهادة (eWPTXv3) المقدمة من @INE. I'm excited to announce that I've achieved the Web Application Penetration Tester eXtreme (eWPTXv3) certification from @INEsecurity
36
1
128
🔴 During a break from bug bounty, we jumped into FiveM for fun. Messed with Wireshark and network traffic, got VMenu admin panel access, could ban/unban, and gain full privileges on any server using VMenu. New CVE on the way⏳. #GTAOnline #Fivem #GTA5
0
2
25
We discoverd New Fivem 0day exploit - PoC 🚨 . ⚠️ Unauthorized access to the Vmenu Admin panel on any FiveM server can be achieved by exploiting game network traffic packets. Credit : @Mohnad @Omarzzu @N4waF_Almutairi
30
58
492
RT @Omarzzu: من ثغرة بسيطة في الـ API إلى صلاحيات تتحكم بميزانية بملايين. فحص على الطاير مع @Mohnad @N4waF_Almutairi . نسمي بالله ونبدأ عال….
0
33
0
تهقون ال ai يتغلب على الباحثين ؟.
Ai xbow .شارك في رفع تقارير الثغرات وأخذ المركز الاول في منصة هاكرون على مستوى أمريكا . ارسلو له دعوة في المنصة نبي نتحداه ونشوف كم يجيب ترتيب 😂😂 @BugBountySA.
6
0
16
Ai xbow .شارك في رفع تقارير الثغرات وأخذ المركز الاول في منصة هاكرون على مستوى أمريكا . ارسلو له دعوة في المنصة نبي نتحداه ونشوف كم يجيب ترتيب 😂😂 @BugBountySA.
3
0
26
كل عام وأنتم بخير أعاده الله علينا و على المسلمين بالصحة و العافيه .
5
0
19
سيناريو مشابه للي واجهته في البداية كنت افحص موقع طبيعي وطحت على ملف JS مليان مسارات لل api أحد المسارات هذي كان internal وكانت اغلبه اشياء عادية الا المسار هذا شدني [ api/v1/internal/service ].المسار كان ياخذ باراميتر اسمه apiservice.
1
0
51
مثل ما نشوف هنا الرسايل من نفس الشركات وقبلها الرسايل الطبيعية الي مرسله منهم , تخيل معي السيناريو هذا تجيك رسالة من البنك تم سحب رصيدك بالكامل وقتها وش راح تسوي :)
1
1
42
نتفاجئ ان الرسالة انرسلت عن طريق ثغرة من ال sms server والمهاجم مخترق السيرفر ويقدر يرسل رسالة sms من اي رقم يبيه وهنا تكمن الخطورة مثال في الصورة الي فوق جربت ارسل عن طريق الثغرة برقم قوقل وسناب و ابل أو اي رقم شخصي والمفاجاة انك مستحيل تفرق اذا الرسالة من نفس الرقم أو لا .
1
1
57
اليوم بتكلم عن ثغرة خطيرة ممكن تستغل في احتيال الكثير منا , تخيل معي توصلك رسالة sms تطلب منك اي شي او يكون فيها رابط احتيالي وطبعا انت متاكد من الرقم المرسل انه من الشركة الرقم الصحيح 100% لهم ومافيه اي تلاعب , يتبع.
37
74
2K
وبكذا نقدر نرسل اي ريكويست ومانشيل هم التشفير .وشكرا لكم اعذرونا على القصور . .
2
0
16
الي سويته عدلت اليوزر من الريسبونس .من "mohnad".الى ."mohnad/account/details?1=1&1=".وبكذا التطبيق راح يرسل الريكويست النهائي بالشكل هذا .[api/v1/user/mohnad/account/details?1=1&1=/account].ومثل ما نلاحظ كذا راح يرسل الريكويست وهو متخطي التشفير .كأنها path traversal بس بشكل مبسط.
3
1
33
احد ريكويستات الي يرسلها البرنامج بعد ما تسجل دخولك كانت .[api/v1/user/mohnad/account]. وانا ابي اوصل ل اندبونيت [api/v1/user/mohnad/account/details].وما اقدر ارسل الريكويست علطول لانه لازم يتشفر.
1
0
10
أول مشكلة واجهتني لما كنت افحص التطبيق كانت ان الموقع يشفر الاندبوينت ب تشفير AES وهذي حركة ذكية من الشركة عشان المهاجم ما يقدر يتلاعب بالطلبات او يسوي FUZZ .بسس طالما ان التشفير يتم في Client Side معناته انه مقدور عليه.
1
0
12
في البداية كان فيه برنامج حمايته قويه قويه قويه من كل النواحي وتشكر والشركة والمبرمج على جهدهم في حماية التطبيق ولكن كالعادة مافيه تطبيق وموقع ما يخلو من الثغرات.
1
0
9
